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(S) Verrous de security pour circuit integre. 

© L'invention conceme les circuits integres, et 
plus particulierement ceux qui utilisent des 
verrous electroniques pour modifier la configu- 
ration du circuit, par exemple pour restreindre 
I'acces de Putilisateur a certaines fonctions ou 
certaines donnees du circuit. 

Selon l'invention, on prevoit un premier 
verrou eiectronique (CL1, CL'1, X1) apte a etre 
verrouille ou deverrouille pendant une phase de 
test du circuit integre et a etre irreversiblement 
verrouille apres la fin de la phase de test, et un 
deuxieme verrou eiectronique (CL2, CL'2, X2) 
apte a etre deverrouille seulement tant que le 
premier verrou est deverrouille. De cette 
maniere, on peut tester I'ensemble du circuit 
integre tel qu'il se presente pour Tutilisateur, le 
verrouillage des verrous etant en quelque sorte 
simule pendant le test 
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VERROUS DE SECURITE POUR CIRCUIT INTEGRE 



(.'invention concerne les circuits integres ; elie 
s'applique notamment mais non exclusivement, aux 
circuits int6gr6s pour cartes k memoire, et en particu- 
lier aux circuits dont i'eiement essentiel est une 
memoire eiectriquement programmabie et effagable 
n6cessitant des mecanismes eiectroniques de secu- 
rity. 

Une securite est necessaire dans de nombreuses 
applications ou on desire que les informations 
stockees dans la memoire ne puissent pas etre lues 
ou ne puissent pas etre modifi6es par un utilisateur de 
la carte. C'est le cas par exemple dans les cartes ban- 
caires, ou dans d'autres applications ou le circuit Inte- 
gra sert k effectuer des transactions ou des 
operations ayant une valeur marchande. C'est le cas 
6galement dans les applications de contr6le d'acces, 
de contrdle d'fdentite d'un utilisateur, etc. 

Dans d'autres applications t une securite peut etre 
necessaire pour modifier ou interdire certaines fonc- 
tions du circuit en fonction de I'utilisateur. 

Par commodity pour Texpiication de la presente 
invention, on se r6f6rera k une application de circuit 
int6gr6 pour carte k m6moire necessitant des meca- 
nismes de securite protegeant contre 1'acces k certai- 
nes zones ou certaines fonctions du circuit. 

En pratique, le circuit int6gr6 est vendu par un 
fabricant de circuits int6gr6s ; (a carte est vendue par 
ce qu'on appellera un "617161^1* ; et la carte est uti- 
lisee parun "utilisateur" final. Par te mot emetteur, on 
se rgfere ici k des applications telles que les applica- 
tions bancaires ou ta banque "6met" des cartes k 
puces ayant une valeur monetaire. Cependant le mot 
"emetteur" ne doit pas se limiter k ce type d'applica- 
tion et H designera dans la suite la personne ou I'orga- 
nisme ou I'entreprise qui met en place un mecanisme 
de securite apres avoir configure certaines fonctions 
ou donnees de la carte et avant de fournir la carte k 
I'utilisateur final ; remetteur aura acces k certaines 
fonctions du circuit, et I'utilisateur final aura accds k 
d'autres fonctions (plus g6n6ralement k des fonctions 
plus restreintes). 

La fourniture des cartes k I'utilisateur final doit 
passer par les operations suivantes : fabrication du 
circuit integre ; test du circuit integre ; fourniture du 
circuit teste k remetteur ; mise en carte du circuit inte- 
gre par remetteur ou un foumisseur de remetteur ; 
introduction de donnees, ou etablissement d'une 
configuration particuli&re du circuit integre (personna- 
Hsatlon par exemple) par remetteur, en fonction de 
I'utilisateur final ; activation par I'ernetteur d'un m6ca- 
nfsme de securite (present dans le circuit integre) qui 
interdit l*acc&s de I'utilisateur k certaines zones de cir- 
cuit, notamment certaines zones de memoire. 

Pour le fabricant de circuit int6gr6, le probldme se 
pose de la mantere suivante : un test de toutes les 



fonctions et donn6es du circuit integre est necessaire 
car le fabricant ne peut pas livrer des circuits d6fec- 
tueux k son client "emetteur". Le fabricant teste done 

5 notamment toutes les zones de m6moire et les diver- 
ses fonctions du circuit 

Llnvention repose sur la constatation que les 
tests effectu6s sont jusqu'e maintenant incomplets 
car ils ne permettent pas au fabricant de contrdler le 

10 fonctionnement dans la configuration exacte du cir- 
cuit vu par I'utilisateur, e'est-e-dire aprte les traite- 
ments effectues par remetteur (etablissement de 
configurations diverses, introduction de donnees, 
activation d'un verrou de protection). 

15 Cette difficulty existe en outre aussi iorsque, dans 

certaines applications, le fabricant 6ta bl it lui-m§me un 
mecanisme de s6curit6 qu'il active apr&s les tests du 
circuit, avant de livrer le circuit k remetteur. En effet, 
en pratique, le fabricant ne peut pas tester le circuit 

20 dans la configuration exacte od il est regu par i'£met- 
teur, e'est-e-dire une configuration ou le mecanisme 
de securite est active. 

Les difficultes se cumulent Iorsque k la fois le 
fabricant et l'6metteur activent chacun un mecanisme 

25 de s£curit6. 

Les mecanismes de securite sont des verrous 
logiques irr£versibles qui changent la fonctionalite du 
circuit lorsqu'ils sont actives ; par exemple, ils interdi- 
sent Pacers k certaines parties du circuit integre. 

30 L'invention propose de realiser un circuit integre 

comprenant diff6rentes fonctions eiectroniques, 
parmi lesquelles certaines fonctions peuvent etre 
modifiees irreversiblement par ('activation d'un verrou 
eiectronique, ce circuit comprenant : 

35 -un premier verrou eiectronique apte k etre 

verrouilie ou deveroouilie pendant une phase de 
test du circuit int6gr6 et k etre irreversiblement 
verrouilie apres la fin de la phase de test, 
- et un deuxieme verrou eiectronique apte k etre 

40 d6verrouill6 seuiement tant que le premier verrou 

est d6verrouilJe. 

Grace k cet ensemble de deux verrous qui sont 
provisoirement d6verrouillables puis definitivement 
verrouill6s et non d6verrouilIables, on peut accomplir 

45 des operations de test beaucoup plus approfondies. 
Ces operations de test permettent en particulier de 
tester les fonctionalites reduites ou modifi6es du cir- 
cuit, telles qu'elles seront disponibles pour I'utilisateur 
final, ce qui n'etait pas possible dans la technique 

50 anterieure. Dans la technique anterieure, on ne pou- 
vait en effet tester que les fonctionalites globales du 
circuit, sans pouvoir tester les fonctionalites reduites 
telles qu'elles existent apr£s verrouillage. 

Au sens de la pr6sente invention, lorsqu'on parte 

55 de modifier certaines fonctions par un verrou eiectro- 
nique, on inclura les modifications de fonctions pro- 
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prement dite, ies modifications de configuration de 
circuit, les modifications de donnees enregistrees, Ies 
modifications d'acc6s a des zones de m6moire, en 
lecture ou en 6criture, etc. sans limitation particultere. 

Dans une realisation particulierement avanta- 5 
geuse, on utilisera comme verrou (premier verrou 
ettou deuxieme verrou) un ensemble de deux cellules 
de m6moire programmables et effacables eiectrique- 
ment, la premiere cellule etant pourvue d'une 
command e de programmation ou d'effacement, et la 10 
deuxieme cellule etant pourvue d'une commande de 
programmation et aussl d'une commande d'efface- 
ment, avec une porte OU-exclusif dont les entries 
sont reli6es chacune a une cellule respective. 

Pour le premier verrou, on prevoit que Tune des 75 
commandes de la deuxieme cellule de ce verrou est 
activable seulement pendant la phase de test ; elle 
est inaccessible apr&s la fin de la phase de test. 

Pour le deuxieme verrou, on pr6voit que Tune des 
commandes de la deuxieme cellule de ce verrou est 20 
inhibee par la sortie du premier verrou lorsque celui-ci 
est verrouille. 

De maniere tout-a-fait avantageuse, on prevoit 
que la commande de verrouillage d'un verrou se fait 
par une commande d'effacement d'une des cellules et 25 
par une commande de programmation de I'autre. La 
commande de deverrouillage se fait alors (lorsqu'elle 
est possible) par une commande inverse pour la cel- 
lule qui dispose k la fois d'une commande de pro- 
grammation et d'une commande d'effacement 30 

Le systdme de verrou eiectronique propose ici 
permet de realiser des operations de test qui peuvent, 
selon I'invention, se derouier de la maniere suivante: 

- on effectue un test general du circuit integre 
alors qu'un premier verrou eiectronique est dans 35 
un etat initial d6verrouill6 ; 

- on verrouille le premier verrou et on teste les 
fonctions modifiees par ce verrouillage ; 

- on verrouille un deuxieme verrou et on teste les 
fonctions modifies par ce deuxieme verrou il- 40 
lage ; 

- on deverrouille le premier verrou ; 

-on deverrouille le deuxieme verrou, ce 
deverrouillage etant rendu possible parle fait que 
le premier verrou est deverrouille ; 45 

- on verrouille irrtversiblement le premier verrou 
et on interdit par suite de ce verrouillage tout 
deverrouillage futur du deuxieme verrou apr&s 
qu'il sera active. 

Ce test est possible chez le fabricant du circuit so 
integre ; il permet de tester le circuit alors que les 
fonctions sont modifies par une sorte de simulation 
du verrouillage des deux verrous. On v6rifie done Ies 
fonctions modifi6es non seulement par le premier 
verrou (verrou en principe active par le fabricant aprks 55 
le test et avant foumiture a Temetteur"). mais aussi 
par le deuxieme verrou (verrou active par I'emetteur 
avant foumiture k I'utilisateur). Puis on revient a l'6tat 



initial (verrous deverroutll6s) et on effectue enfin le 
premier verrouillage seul, et cela de manure irrever- 
sible. - 

Pour rendre le d6verrouiliage du premier verrou 
possible tout au long de la phase de test, on prevoit 
de preference que le circuit int6gr6 reste allmente en 
tension pendant toute la phase de test et que la 
commande de deverrouillage peut etre inhibee par 
une bascule du type "a basculement unique" ("one- 
shot latch") : une telle bascule peut changer d'etat 
une fois lors de la premiere mise sous tension ; £ la 
coupure du courant elle rebascule dans un 6tat d'ou 
elle ne pourra plus sortir lors des remises sous ten- 
sion ulterieures. La commande de deverrouillage ne 
sera alors plus disponible. 

D'autres caracteristiques et avantages de I'inven- 
tion apparaltront a la lecture de la description detailiee 
qui suit et qui estfaite en reference au dessin annexe 
dans lequei la figure unique repr6sente un schema du 
systeme de verrous eiectroniques incorpord & un cir- 
cuit integre selon I'invention. 

Le circuit int6gr6 selon I'invention est destine k 
remplir diff6rentes fonctions eiectroniques qui peu- 
vent etre quelconques (memorisation de donnees, 
traitement de signaux logiques ou analog iques, etc.). 
Ces fonctions n'ont pas d'importance, mais I'impor- 
tant est qu'elles peuvent dtre modif!6es par des 
verrous eiectroniques. 

La modification peut porter par exempie sur une 
restriction d'acces a certaines zones d'une memoire; 
elle peut porter aussi par exempie sur une restriction 
d'acces k certaines fonctions : par exempie autorisa- 
tion de lecture seulement et interdiction d'ecriture 
dans certaines zones de memoire. 

Sur le circuit de la figure 1, on a represente un 
premier verrou fournissant, lorsque le verrouillage est 
active, un signal S1 de modification defonction du cir- 
cuit integre. En d'autres mots, avant verrouillage, le 
signal S1 peut etre par exempie a un niveau logique 
bas (verrou non active) alors qu'apres verrouillage le 
signal S1 pourra etre & un niveau logique haut. Le 
signal S1 controle une modification de fonctions du 
circuit integre, principalement des fonctions d'acces. 

Un deuxieme verrou fournit un signal S2 lorsqu'il 
est active. Le signal S2 contrfile d'autres modifica- 
tions de fonction. 

Le premier verrou est destine a etre active par le 
fabricant de circuit integre en vue~d'un verrouillage 
irreversible, apr6s la fin des tests et avant foumiture 
a un client. Le client est consid6r6 ici comme *emet- 
teur" de cartes destin6es k des utilisateurs. 

Le deuxieme verrou est destine k §tre active par 
le client "emetteur", par exempie apr6s avoir confi- 
gure le circuit d'une maniere particuliere (enregistre- 
ment de donnees), et avant foumiture & I'utilisateur 
final. Le deuxieme verrou 6tant destine k etre active 
par le client M 6metteur", on a pr6vu sur le schema de 
la figure un plot d'entree du circuit integre par lequei 
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Pemetteur peut appiiquer un signal de commande de 
verrouillage V2. 

Au contraire, comme le premier verrou est des- 
tine & §tre active par le fabricant au cours d'operations 
de test en usine, les signaux de verrou itiage V1 et 
deverrouillage D1 du premier verrou *ne sont pas 
necessairement transmis par des bornes 
d'entree/sortie du circuit integre. lis peuvent etre des 
signaux internes au circuit integre ou des signaux 
issus de plots de test sur tranche, non raccordes aux 
bornes de sortie. De mime, en ce qui concerne le 
deverrouillage, le deuxieme verrou peut etre desac- 
tive par un signal de deverrouillage D2 qui n'est pas 
forcement transmis par une borne externe du circuit 
integre puisqu'fl n'a pas & etre produit ni par le client 
emetteur ni par I'utilisateur final. 

Sur la figure ies signaux de verrouillage V1 et de 
deverrouillage D1 et D2 ne sont pas representes 
comme etant rattaches k des bornes d'entree/sortie 
du circuit integre. Cela n'exclut ce pendant pas la pos- 
sibility qu'ils le soient 

Le premier verrou comporte de preference deux 
cellules de memoire programmabies et effagables 
electriquement CL1 et CL'1, aussi identiques que 
possible et de preference juxtaposees physiquement 
dans le circuit pour avoir des caracteristiques aussi 
identiques que possible. II comporte aussi une porte 
OU-ExcIusif X1 dont les deux entrees sont reliees 
chacune d une cellule respective. 

Les circuits de lecture et d'ecriture des deux cel- 
lules ne sont pas representes. Le signal S1 indiquant 
si le verrou est verrouille ou non est pris £ la sortie de 
la porte X1 en mode de lecture des cellules. Le 
verrouillage et le deverrouillage sont effectues en 
mode d'ecriture. 

Dans I'exempie decrit, le verrou est constdere 
comme de verrouille (S1=0) lorsque ies deux cellules 
CL1 et CL'1 sont dans un etat identique. II est consi- 
ders comme verrouille (S1=1) lorsque les cellules 
sont dans des etats complementaires (J'une program- 
mee, I'autre effacee). Cela resulte de la presence de 
fa porte OU-Exclusif en sortie des cellules. 

L'une des cellules, par exemple CL1, comporte 
seulement une commande d'effacement (cela 
pourrait etre seulement une commande de program- 
mation, mais dans I'exempie decrit on considerera 
que c'est une commande d'effacement). L'autre cel- 
lule CL'1 comporte d la fois une commande d'efface- 
ment et une commande de programmation. 

La commande de verrouillage s'effectue par une 
double operation consistant & effacer la premiere cel- 
lule CL1 et a programmer la deuxieme CL'1. Sur la 
figure, cette double operation est symbolisee par une 
seule liaison electrique appliquant un signal de 
verrouillage V1 a la fois a I'entree d'effacement de 
CL1 et & I'entree de programmation de CL'1. Dans la 
realite, il faut tenir compte du fait que les operations 
d'effacement ou programmation sont plus complexes 



que la simple application d'un signal logique V1. Ces 
operations sont tres ctassiques pour les memoires et 
ne seroht pas decrites. La programmation et I'efface- 
ment peuvent dtre simultanes ou immediatement suc- 

5 cessifs. 

La commande de deverrouillage s'effectue, 
lorsqu'elle est possible, par effacement de la 
deuxieme cellule CL'1 . Mais si la premiere cellule CL1 
ne comportait qu'une commande de programmation, 

10 la commande de deverrouillage s'effectuerait par pro- 
grammation de la deuxieme cellule. 

Le deuxieme verrou peut etre constltue exacte- 
ment de la rneme maniere que le premier, avec une 
premiere cellule CL2 comportant seulement une 

15 commande d'effacement et une deuxieme cellule 
CL'2 comportant k la fois une commande d'efface- 
ment et une commande de programmation. Une porte 
OU-Exclusif X2 regoit sur ses deux entrees respecti- 
vement la sortie de la premiere et de la deuxieme cel- 

20 lule. En mode de lecture des cellules, le signal S2, 
indiquant si le deuxieme verrou est active ou non, est 
preleve a la sortie de la porte X2. La commande de 
verrouillage s'effectue par le signal V2 qui efface la 
premiere cellule CL2 et programme la deuxieme 

25 CL'2. La commande de deverrouillage s'effectue 
(lorsqu'elle est possible) par effacement de la 
deuxieme cellule. 

Enfin, comme on le voit sur la figure, on a prevu 
des moyens pour que le signal de deverrouillage D2 

30 du deuxieme verrou ne puisse etre applique d I'entree 
d'effacement de la cellule CL'2 que lorsque le premier 
verrou est deverrouille (S1=0). Une porte OU exclusif 
X3 recevant le signal D2 et la sortie S1 figure cette 
interdiction de maniere symbolique. D'autre part, on 

35 a prevu egalement des moyens pour que le signal de 
deverrouillage D1 du premier verrou ne puisse Stre 
applique & I'entree d'effacement de la deuxieme cel- 
lule CL'1 que pendant la phase de test du circuit inte- 
gre (test par le fabricant), tout deverrouillage etant 

40 ensuite impossible (pour le client et pour I'utilisateur 
final). Sur la figure, cette fonction est symbolisee par 
une porte ET recevant le signal D1 et le laissant pas- 
ser sous le contrdie d'un signal T present pendant le 
test et non apres le test, ou encore sous le contrdle 

45 d'une bascule B (en pointilles sur la figure) qui est 
activable une seule fois ("one-shot") ; cette bascule 
passe lors du test dans un etat <|ui autorise le 
deverrouillage ; lorsqu'on cesse (Talimenter le circuit 
integre aprgs la fin du test, elle repasse dans un autre 

so etat qui interdit le de verrouillage, et sa caracteristique 
est qu'elle ne peut plus repasser dans le premier etat 
lorsqu'elle est remise sous tension. 

Le fonctionnement genera) du circuit et le pro- 
cede de test selon Hnvention sont les suivants : 

55 A la fin de la fabrication du circuit, les cellules de 

memoire electriquement programmabies constituent 
les verrous sont dans un etat qui est en principe 
"efface". Elles sont en principe constitutes par des 
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transistors a grille flottante qui ont normalement leur 
grille flottante depourvues de charges electriques. 
Toutefois on n'en est pas absolumentsflr. Le plus pro- 
bable est en tout cas que les cellules sont toutes char- 
gees de la meme maniere, meme si elles ne sont pas 5 
franchement dans I'etat efface. C'est, la raison pour 
laquelle chaque verrou comporte deux cellules iden- 
tiques, Fetat non verrouille etant un etat initial quel- 
conque (en principe efface mais pas forcement) pour 
lequei les cellules fournissent un meme signal de sor- 10 
tie et pour lequei par consequent la porte OU-Exclusif 
XT ou X2 fournit un niveau logique zero. 

Le test final apres fabrication est effectue d'abord 
avec les verrous deverrouilles, c'est-a-dire avant tout 
actionnement des commandes de verrouillage V1 et 15 
V2. 

Puis, on verrouille par la commande V1 le premier 
verrou. A partir de la, on prevoit que le courant d 'ali- 
mentation du circuit integre n'est plus coupe jusqu'a 
la fin du test Cela du moins dans le cas ou on prevoit 20 
que c'est une bascule B a basculement unique qui 
sert a interdire le deverrouiilage apres la fin du test. 
La coupure du courant mettra en effetla bascule dans 
un etat d'ou elle ne pourra plus sortir meme en cas de 
remise sous tension, et cat etat est celui qui 25 
commande IMnhibition de la commande de deverrouii- 
lage D1. 

Le verrouillage par la commande V1 consiste 
comme on Pa dit, en mode d'ecriture et non de lecture 
des cellules CL1 et CL'1, a appliquer les signaux 30 
d'effacement de la cellule CL1 (meme si elle etait deja 
effacee) et de programmation de la cellule CL'1. Le 
passage des deux cellules dans des etats comple- 
mentaires provoque le passage a Fetat haut de la sor- 
tie S1 de la porte OU-Exclusif X1 (en mode de 35 
lecture). 

On effectue alors le test du circuit integre avec la 
configuration et les fonctions modifiees par le premier 
verrou. 

On verrouille ensuite par le signal V2 le deuxieme 40 
verrou : en mode d'ecriture des cellules CL2 et CL'2. 
on efface CL2 et on programme CL'2. En mode de lec- 
ture, la sortie de la porte OU-Exclusif X2 passe a Fetat 
haut par suite du passage des cellules dans des etats 
complementaires. La configuration ou les fonctions 45 
du circuit integre sont alors modifiees comme si le 
client "emetteur" les avait modifiees. 

On teste le circuit dans cette configuration modi- 
fies. 

On deverrouille le premier verrou, par la so 
commande D1 (non inhibee par la bascule B). Cette 
commande agit pour effacer la cellule CL'1 . en la met- 
tant done dans le meme etat que la cellule effacee 
CL1. Cela remet a zero le signal S1 en sortie de la 
porte OU-Exclusif X1 et cela permet ensuite de 55 
deverrouiller le deuxieme verrou par la commande 
D2. 

Le deverrouiilage du deuxieme verrou se fait 



comme celui du premier : par effacement de la cellule 
CL'2, ce qui remet a zero le signal S2 a la sortie de la 
porte X2. 

Si cela est necessaire pour d'autres operations 
de test, on peut repeter plusieurs fois le verrouillage 
du premier et du deuxieme verrou, des operations de 
test, puis le deverrouiilage des verrous. 

Apres la fin des tests, on verrouille irreversible- 
ment le premier verrou par action de la commande de 
verrouillage V1 (effacement de ia cellule CL1 et pro- 
grammation de CL'1). 

Le deuxieme verrou reste deverrouille (deux cel- 
lules CL2, CL'2 effacees). 

On coupe le courant d'alimentatton ; la bascule B 
a basculement unique prendra irreversiblement lors 
de la mise sous tension un etat qui inhtbe tout pas- 
sage du signal de deverrouiilage D1. 

Le circuit est pret a etre livre au client Celui-ci 
pourra activer une fois et une seule la commande de 
verrouillage V2 apres avoir fait par exemple des ope- 
rations de configuration, d'introduction de donnees, 
etc. Ces operations peuvent etre par exemple rintro- 
duction dans une zone de memoire de nombres 
representant par exemple des sommes d'argent, ou 
encore une identification d'utilisateur, etc. 

Apres verrouillage definitif par la commande V2, 
le deuxieme verrou ne peut pas etre deverrouille puis- 
que le premier verrou interdit tout deverrouiilage du 
second. 

On a pu tester le circuit dans la configuration ini- 
tiale en sortie de fabrication, puis dans la configura- 
tion intermediaire telle que livree au client emetteur, 
et enfin dans la configuration finale vue par I'utiJisa- 
teur. 



Revendications 

1. Circuit integre comprenant differentes fonctions 
electroniques, parmi lesquelles certaines fonc- 
tions peuvent etre modifiees irreversiblement par 
Tactivation d'un verrou electronique, ce circuit 
etant caracterise en ce qu'il comprend : 

- un premier verrou electronique (CL1, CL'1, 
X1) apte a etre verrouille ou deverrouille pen- 
dant une phase de test du circuit integre et a 
etre irreversiblement verrouille apres la fin de 
ia phase de test, 

-et un deuxieme verrou electronique (CL2 f 
CL'2, 5C2) apte a etre d6verroui11e seulement 
tant que le premier verrou est deverrouill6. 

2. Circuit integre selon la revendication 1 , caracte- 
rise en ce que Fun au moins des verrous est cons- 
titue par un ensemble de deux cellules de 
memoire programmables et effacables electri- 
quement, la premiere cellule (CL1, CL2) etant 
pourvue d'une commande de programmation ou 
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d'effacement, etta deuxieme cellule (CL'1, CL'2) 
6tant pourvue d'une commande de programma- 
tion et d'une commande d'effacement, avec une 
porta OU-exclusif (X1, X2) dont les entrees sont 
refiees chacune a une cellule respective. 5 

3. Circuit integre selon la revendication 2, caracte- 
rise en ce que I'une des commandes de la 
deuxieme cellule du deuxieme verrou est tnhibee 

par la sortie du premier verrou lorsque celui-ci est 10 
venrouill6. 

4. Circuit integre selon la revendication 2, caracte- 
ris6 en ce que la commande de verrouillage d'un 
verrou se fait par une commande d'effacement is 
d'une des cellules et par une commande de pro- 
grammation de I'autre. 

5. Circuit integre selon la revendication 4, caracte- 
rise en ce que la commande de deverrouillage se 20 
fait par une commande inverse pour la cellule qui 
dispose a la fois d'une commande de program- 
mation et d'une commande d'effacement 

6. Circuit integre selon I'une des revendications pre- 25 
cedentes, caracterise en ce que le premier verrou 
comporte une commande de deverrouillage avec 

une bascule a bascuiement unique pour autoriser 
le deverrouillage pendant la phase de test et pour 
interdire definitivement le deverrouillage apres 30 
coupure de I'alimentation du circuit integr6 a la fin 
de la phase du test 



7. Procede de test de circuit integre, caracterise en 

ce qu'i) comporte les operations successives sui- 35 
vantes : 

- on effectue un test general du circuit integrS 
alors qu'un premier verrou eiectronique est 
dans un etat initial deverrouille ; 

- on verrouille le premier verrou et on teste les 40 
fonctions modifiees par ce verrouillage ; 

- on verrouille un deuxieme verrou eton teste 
les fonctions modifiees par ce deuxieme 
verrouillage ; 

- on deverrouille le premier verrou ; 45 

- on deverrouille le deuxieme verrou, ce 
deverrouillage etant rendu possible par le fait 
que le premier verrou est deverrouill6 ; 
-on verrouille irreversiblement le premier 
verrou et on interdit par suite de ce verrouil- so 
lage tout deverrouillage futur du deuxieme 
verrou apres qu'i! sera active. 
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